Aufgepasst: Mittlerweile haben Arbeitgeber

Transkript

1 GRUNDLAGEN DER BETRIEBSRATSARBEIT AiB 11201; Datenschutz im Betriebsrat DATENSCHUTZ Der Betriebsrat sollte auch beim Datenschutzrecht Vorbild sein: Zum einen hat er die Beschäftigten davor zu schützen, dass mit ihren Daten Schindluder getrieben wird, zum anderen muss auch er datenschutzrechtliche Bestimmungen bei den ihm anvertrauten Daten einhalten. Wie das gelingt, zeigen wir hier. VON EBERHARD KIESCHE UND MATTHIAS WILKE DARUM GEHT ES 1. Was den Datenschutz anbelangt, schauen Arbeitgeber, Aufsichtsbehörden und Gerichte nun vermehrt auf Betriebsratsgremien. 2. Auch der Betriebsrat muss für die ihm anvertrauten Daten datenschutzrechtliche Vorschriften einhalten. Aufgepasst: Mittlerweile haben Arbeitgeber das informationelle Selbstbestimmungsrecht der Beschäftigten entdeckt, vor allem dann, wenn sie damit Informations-, Beteiligungs- und Mitbestimmungsrechte der Betriebsräte einschränken können. Aufsichtsbehörden sind auf die Datenverarbeitung von Betriebsräten aufmerksam geworden und führen anlassbezogen nach 38 Bundesdatenschutzgesetz (BDSG) in Unternehmen auch Kontrollen bei Betriebsräten durch. Inzwischen ahnden auch Arbeitsgerich te 1 Datenschutzverstöße des Betriebsrats. Teil der verantwortlichen Stelle Betriebsräte sind, wie das Bundesarbeitsge riebt (BAG) schon 1997 festgestellt hat, Tei der verantwortlichen Stelle nach 3 Abs. 7, ~ BDSG (Verantwortliche Stelle ist jede Persori oder Stelle, die personenbezogene Daten füi sich selbst erhebt, verarbeitet oder nutzt odei 3. Dies kann mit einem Datenschutzkonzept und einem BR-Sonderbeauftragten gelingen. Werden dem Betriebsrat Daten von Beschäftigten anvertraut, muss er diese schützen. 1 LAG Berlin-Brandenburg TaBV 828/12.

2 AiB GRUNDLAGEN DER BETRJEBSRATSARBEJT dies durch andere im Auftrag vornehmen lässt.) und damit dem Datenschutz verpflichtet. Gibt der Arbeitgeber personenbezogene Daten der Beschäftigten an den Betriebsrat weiter, damit dieser seine Rechte wahrnehmen kann, stellt das eine Datennutzung durch den Arbeitgeber dar und ist keine Datenübermittlung. Hierbei muss aber aber die Kenntnis der Beschäftigtendaten für die Erfüllung der Betriebsrats-Aufgaben nach 32 Abs. 1 BDSG und nach dem BetrVG erforderlich sein. Das BAG hat 1997 auch festgestellt, dass die Datenverwendung des Betriebsrats nicht der Kontrolle des Arbeitgebers und des betrieblichen Datenschutzbeauftragten unterliegt. Der Betriebsrat muss eine umfassende Selbstkontrolle für sein eigenes Datenschutzmanagement einführen. Er hat eigenständig über alle erforderlichen Maßnahmen des Datenschutzes und der Datensicherheit nach 9 und Anlage zu 9 BDSG zu beschließen, so beispielweise 2 bei der Internetnutzung durch die Mitglieder des Betriebsrats. Aus diesem Grund ist es Betriebsratsgremien dringend anzuraten, ein Datenschutzmanagementsystem im Betriebsratsbüro zu etablieren und betriebsintern zu veröffentlichen. Hierfür gibt es eine Reihe aktueller Anlässe. Datenschutzverstöße vor den Gerichten So entschied das LAG Berlin-Brandenburg beispielsweise, dass der Betriebsrat Beweismittel, die er aufgrund eines Datenschutzverstoßes rechtswidrig erlangt hat, nicht verwerten darf. 3 Betriebsratsmitglieder, die durch wiederholte Einsichtnahme in elektronisch geführte Personalakten gegen das BDSG verstoßen, können außerordentlich gekündigt oder aus dem Betriebsratsgremium ausgeschlossen werden, weil sie ihre Vorbildfunktion im Beschäftigtendatenschutz verletzt hat. 4 Datenschutzanweisung im Betriebsrat Die folgende Datenschutzanweisung für die Datenverwendung im Betriebsratsgremium sollte nicht kopiert werden, sondern stets noch auf das jeweilige Unternehmen, die Beschäftigtenanzahl, das Gremium und dessen Strukturen und Prozesse angepasst werden. Sie wendet sich an Beschäftigte, Arbeitgeber, betriebliche Datenschutzbeauftragte und Aufsichtsbehörden für den Datenschutz. 5 <J 2 BAG ABR 15/08, Rnr Siehe Fußn LAG Berlin-Brandenbure. ZD 20n. 2~q mit Anm. Stück. Vereinbarung: Datenschutzprozessbeschreibung für Betriebsratsgremien ~ Präambel Der Betriebsrat (nachfolgend BR) schützt und fördert die Persönlichkeitsrechte der Beschäftigten ( 75 Abs. 2 BetrVG). Von daher ist es selbstverständlich, dass er ihre personenbezogenen Daten nur im Rahmen seiner Aufgaben, Rechte und PHichten nach dem Betriebsverfassungsgesetz und nur bei Erforderlichkeit und Verhältnismäßigkeit nach den Anforderungen des Bundesdatenschutzgesetzes (BDSG) und zukünftig nach der EU-Datenschutzgrundverordnung (EU-DS GVO) verwendet. ~ Maßnahmen Der BR setzt zum Schutz der Persönlichkeitsrechte der Mitarbeiter nach 4 Abs. 1 und 32 BDSG und einzelnen Normen des BetrVG wie z.b. 80 Abs. 1, 2 BetrVG die folgenden Maßnahmen zur Selbstkontrolle um: 1. Als Sonderbeauftragter des BR für den Datenschutz, der die Verarbeitung der personenbezogenen Daten im BR-Gremium überwacht, wird für die Dauer der laufenden Amtsperiode XXX durch Beschluss des BR vom... bestellt. Sein/ihr Vertreter ist. Beide BR-Mitglieder werden fortlaufend qualifiziert, damit sie ihre Aufgaben mit der erforderlichen Fachkunde durchführen können (Anlage 1: Aufgabenbeschreibung für den BR-Sonderbeauftragten). 2. Der BR-Sonderbeauftragte und sein Vertreter können dem BR-Vorsitzenden unmittelbar vortragen und sind in der Ausübung ihrer Fachkunde weisungsfrei. Beide Personen werden für ihre Aufgabenerfüllung im notwendigen Umfang freigestellt (Anlage 2: Zur Position des BR-Sonderbeauftragten). 3. Der BR-Sonderbeauftragte kontrolliert nicht die Schwerbehindertenvertretung (nachfolgend SBV). Die SBV regelt und kontrolliert ihre Datenverarbeitung und den Datenschutz selbst, kann aber die TERMJNHJNWEJS Mehr zu diesem Thema beim Seminar»Datenschutz im Betriebsratsbüro«. Im Vordergrund stehen die Umsetzung der gesetzlichen Datenschutzanforderungen im Betriebsrats-Gremium, die EU-DS-GVO, aktuelle Rechtsprechung und konkrete Handlungsmöglichkeiten für das Gremium. Termin: 27. bis 29. Juni 2017, Ort: Bremen Perfekte lntegrat für Flüchtlinge Jens Schubert I Evelyn Räder Flüchtlinge in Arbeit und Ausbildung Rechtliche Ansprüche und betrie Regelungen Seiten, kartoniert 19,90 ISBN: f- - V BUN

3 GRUNDLAGEN DER BETRJEBSRATSARBEJT GUT ZU WISSEN Der Betriebsrat hat darüber zu wachen, dass die zugunsten der Arbeitnehmer geltenden Gesetze im Betrieb durchgeführt werden. So ist es in 80 BetrVG geregelt. Zu den geltenden Gesetzen gehört auch das Bundesdatenschutzgesetz (BDSG). 6 Deshalb sind Verstöße des Betriebsrats als Hüter des Beschäftigtendatenschutzes gegen das Datengeheimnis nach 5 Satz, BDSG immer auch Verstöße gegen seine betriebsverfassu ngsrechtlichen Pflichten. 7 Der Betriebsrat darf die Persönlichkeitsrechte der betroffenen Arbeitnehmer nicht verletzen. Bei dem Erheben, Verarbeiten und Nutzen von Beschäftigtendaten im Rahmen des BetrVG müssen auch Betriebsräte datensch utzrechtl iche Bestimmungen einhalten, das heißt, die informationelle Selbstbestimmung der Beschäftigten wahren und sie dürfen keinesfalls unbefugt personenbezogene Daten von Beschäftigten verwenden. 8 Beratung des BR-Sonderbeauftragten jederzeit in Anspruch nehmen. Die SBV nimmt an den erforderlichen Datenschutzschulungen des Betriebsrats und für den BR-Sonderbeauftragten teil. Gleiches gilt für die Jugend- und Auszubildendenvertretung. 4. Der Betriebsrat gewährleistet, dass personenbezogene Daten besonders der Beschäftigten aufgabenbezogen nur nach den Vorschriften des BetrVG, des BDSG, der EU-DS-GVO und anderer bereichsspezifischer Datenschutzgesetze verwendet werden. 5. Erforderliche personenbezogene Daten der Beschäftigten und sonstiger Personen verarbeitet der Betriebsrat ausschließlich hinsichtlich seiner Aufgaben, Rechte und Pilichten nach dem BetrVG als Teil der verantwortlichen Stelle... und aufgrund einer Erlaubnis nach 4 Abs. 1 BDSG bzw. Art. 6 EU- EU-DS-GVO (z.b. Einwilligung - Anlage 3). Die Beschäftigtendaten werden somit ausschließlich für den mit der jeweiligen Aufgabe nach dem BetrVG verbundenen Zweck verwendet Daten, die aufgrund von Datensicherheitsmaßnahmen erhoben werden, werden ausschließlich für diesen Zweck genutzt. Der Sonderbeauftragte unterzieht ausnahmslos jede Erhebung, Verarbeitung und Nutzung von Beschäftigtendaten einer Prüfung im Vorfeld. Online-Zugriffe auf Mitarbeiterdaten zur Wahrnehmung der betriebsverfasssungsrechtlichen Aufgabenerfüllung werden nur auf Grundlage einer Betriebsvereinbarung oder einer Einwilligung des Betroffenen ausgewählten und per Beschluss ernannten Mitgliedern des BR-Gremiums ermöglicht 6. Der BR verfolgt bei seiner Aufgabenerfüllung folgende datenschutzrechtsrelevante Ziele: Gewährleistung des Datenschutzrechts und des Allgemeinen Persönlichkeitsrechts Gewährleistung des Gleichbehandlungsgrundsatzes nach 75 Abs. 1 BetrVG und Gewährleistung der individuellen und/ oder kollektiven Interessen der Beschäftigten wie bei Einstellungen, Versetzungen, Kündigungen, Eingruppierungen, Erarbeitung von Sozialplänen, Weiterbildungsmaßnahmen oder bei allen Maß- nahmen des Arbeits- und Gesundheitsschutzes. An Dritte, wie z.b. Amt für Arbeitsschutz, Gewerkschaften, Arbeitsagentur oder Integrationsämter werden grundsätzlich keine personenbezogenen Daten übermittelt, solange es hierfür keine Erlaubnis (z.b. Gesetze, Tarifverträge, Betriebsvereinbarungen oder Einwilligungen) gibt Eine Datenübermittlung bleibt die absolute Ausnahme und beschränkt sich nach 3a BDSG auf die erforderlichen Angaben. Im Rahmen der Aufgaben, Rechte und Pflichten des BR verarbeitete personenbezogene Daten der Beschäftigten werden nach der Beendigung des Mitbestimmungs- bzw. Beteiligungsverfahrens gelöscht oder in Unterlagen an die datenliefernde Fachabteilung (z.b. Personalabteilung, IT-Abteilung) zurückgegeben oder vernichtet. Nicht möglich ist die Löschung in den in Papierform existierenden Sitzungsprotokollen des Betriebsrats. In regelmäßigen Abständen, spätestens jedoch zum Ende der jeweiligen Amtsperiode, wird überprüft, ob die Löschung/Vernichtung der personenbezogenen Daten oder Unterlagen mit personenbezogenen Daten ordnungsgemäß durchgeführt wurde. Der BR-Sonderbeauftragten erstellt hierfür ein Löschungs- und Aufbewahrungskonzept. Im Rahmen der oben genannten Zwecke und BR-Ziele werden nur bei aufgabenbezogener Erforderlichkeit ggf. anonymisierte Statistiken vom BR erstellt Dabei kann der BR nur eine möglichst weitgehende Anonymität gewährleisten, da im Einzelfall grundsätzlich nicht auszuschließen ist, dass mit Hilfe von internem Zusatzwissen auf einzelne Personen geschlossen werden kann. Der BR legt deshalb grundsätzlich eine Grundgesamtheit von 50 Personen für mögliche Statistiken zugrunde, um eine Deanonymisierung von Beschäftigten zu verhindern. Es werden folgende, vom Arbeitgeber übermittelte aufgabenbezogene Einzelangaben in Ordner, in Niederschriften oder in &.Mails auf Dauer im Büro des BR archiviert: Name, Vorname, Geburtsdatum, Geschlecht, Berufsbezeichnung, Personalnummer, Beginn des Beschäftigungsverhältnisses, Arbeitsplatz (Abteilung), 6 BAG ABR 59/85. 7 BAG ABR i9/01; BAG n.1,,,997-i ABR 11/<Ib NZA 1'1'18.16~.

4 AiB 1l2017 GRUNDLAGEN DER BETRJEBSRATSARBEJT Vergütungsgruppe, Vollzeit- oder Teilzeitbeschäftigung. Diese Angaben dienen zur Kontaktaufnahme und Aufgabenerledigung, falls dies im Rahmen von allgemeinen Aufgaben, sozialen Mitbestimmungsverfahren, personellen Angelegenheiten oder für Personalentwicklung/Personalplanung erforderlich ist. Diese Angaben werden in regelmäßig aktualisiert und auf Erforderlichkeit überprüft. Jeder Beschäftigte kann Auskunft über die über ihn archivierten/gespeicherten Daten erhalten. Hierfür ist ein Termin mit dem BR-Sonderbeauftragten zu vereinbaren. Weiterhin werden alle Rechte der betroffenen Mitarbeiter wie z. B. Berichtigung, Löschung oder Sperrung von Daten nach den geltenden Datenschutzbestimmungen und Datenschutzprinzipien vom BR gewährleistet. Alle hier genannten Grundsätze gelten sowohl für die automatisierte als auch nichtautomatisierte Erhebung, Verarbeitung und Nutzung personenbezogener Daten im BR-Gremium (siehe 32 Abs. 2 BDSG}. Die Datenschutzprozessbeschreibung wird Teil der BR-Geschäftsordnung. Anlage 1 - Aufgaben des BR-Sonderbeauftragten Regelmäßige Audits der eigenen BR-Personaldatenverarbeitung anhand einer im Gremium vereinbarten Checkliste Erstellen und Führen eines gesonderten internen BR-Verarbeitungsverzeichnisses, in dem die eingesetzten automatisierten Verfahren auf dem BR-Computer beschrieben werden Durchführung einer Datenschutzschulung für alle Betriebsratsmitglieder, gegebenenfalls anlassbezogene Wiederholungen der Schulungsmaßnahme Entwicklung und Fortführung eines schriftlichen Datenschutzkonzepts, in der die betrieblich geltenden und für den Betriebsrat angepassten Datenschutzbestimmungen, die erforderlichen BR-Aufgaben im Datenschutz und konkrete Maßnahmen des technischorganisatorischen Datenschutzes beschrieben sind Regelmäßige Prüfung der Zulässigkeit, wenn Personaldaten vom BR verwendet werden sollen, d. h. der Rechtsgrundlagen, der Verhältnismäßigkeit, gegebenenfalls der Schutzwürdigkeit von besonders sensiblen Daten, der angemessenen technisch-organisatorischen Maßnahmen und der Sicherstellung der Rechte der betroffenen Beschäftigten Bei der Übermittlung und Bekanntgabe von Personaldaten an Dritte, z.b. an Beschäftigte, Behörden, Konzern- oder Gesamtbetriebsräte, Sachverständige, oder Gewerkschaften: Prüfung der gesetzlichen Erlaubnis, in Einzelfällen der freien Einwilligung der Betroffenen und der Erforderlichkeit der Datenübermittlung Erstellung und Umsetzung eines Löschkonzeptes mit konkreten Lösch- und Aufbewahrungsfristen Sicherstellung der Rechte der betroffenen Beschäftigten in Form von technisch-organisatorischen Vorkehrungen oder als Verfahren, das heißt, vor allem ihre Ansprüche auf Auskunft sowie gegebenenfalls Benachrichtigung, Berichtigung, Löschung oder Sperrung von Daten Nach Beratung im BR-Gremium Umsetzung der Gebote des Datenschutzes nach 9 und Anlage zu 9 BDSG Anlage2- Position des BR-Sonderbeauftragten Der BR-Sonderbeauftragten ist per Beschluss für eine Amtsperiode bestellt worden Er ist dem BR-Vorsitzenden unterstellt und ist der Belegschaft bekanntgegeben worden Für ihn/sie ist ein Vertreter ernannt Der BR-Sonderbeauftragte kann seine Aufgaben in völliger Unabhängigkeit wahrnehmen Er hat Anspruch auf notwendige Fortbildungsmaßnahmen Für seine Aufgabenerfüllung im Datenschutz wird er in notwendigem Umfang freigestellt Die Übernahme von erforderlichen Kosten für Aufwendungen bei Erfüllung seiner Aufgaben beantragt das BR-Gremium beim Arbeitgeber Jedes BR-Mitglied kann sich vertraulich an den BR-Sonderbeauftragten wenden DEUTSCHER BETRIEBSRÄTE PREIS Machen Sie m Sichern Sie sich die Anerkenn Ihrer Betriebsratsarbeit. DEUT~ BETRIE PREIS DEUTSCHER g BETRIEBSRÄTE PREIS 2017 ' ' R ~

5 GRUNDLAGEN DER BETRIEBSRATSARBEIT AiB il201; Die Bestellung des BR-Sonderbeauftragten kann nur aus wichtigem Grund widerrufen werden. Anlage 3 - Einwilligung zur Datenerhebung, Datenverarbeitung und Nutzung beim Betriebsrat Ich bin über die allgemeine Datenverwendung im BR-Gremium umfassend informiert worden, speziell über die Erhebung, Verarbeitung und Nutzung folgender auf mich beziehbarer Beschäftigtendaten:... Das Datenschutzkonzept des BR ist mir bekannt. Ich bin über die Freiwilligkeit meiner Einwilligung informiert worden und weiß, dass ich meine Einwilligung jederzeit für die Zukunft widerrufen kann. Ich bin über meine Rechte nach dem BDSG belehrt worden und kann mich jederzeit mit Fragen und Anliegen an den BR-Sonderbeauftragten wenden. Eine Weitergabe oder Übermittlung meiner personenbezogenen Daten, für die ich hiermit für die Datenverwendung im BR-Gremium einwillige, erfolgt nur nach meiner schriftlichen Zustimmung. Dr. Eberhard Kiesche, Arbeitnehmerorientierte Beratung (AoB), Bremen. eberhard.kiesche@t-online.de Matthias Wilke, Datenschutz- und Technologieberatung (dtb), Kassel. i nfo@dtb-kassel.de INTERVIEW»Beschäftigte haben oft keine Ahnung, was mit ihren Daten passiert!«datenschutz Der Betriebsrat von Tl Automotive hat einen Sonderbeauftragten für den Datenschutz. Wir fragten dazu Hans-Ulrich Scholz, Sprecher des Arbeitssicherheits- und Gesundheitsausschusses im Betriebsrat. TERMINHINWEIS ~ Bewerben Sie sich mit Ihrem Projekt bis zum zum Deutschen Betriebsräte-Preis Alles Wissenswerte zu Projekten und Infos zur Anmeldung finden Sie unter: Ihr habt 2014 einen BR-Sonderbeauftragten für eingerichtet. Was war der Grund dafür? Das Gremium wurde aktiv, da das Unternehmen ein Onlineschulungsprogramm (Tl Academy) einführte. Durch eine»datenpanne«im Unternehmen stellte sich heraus, dass dieses Programm unter anderem zur Leistungs- und Verhaltenskontrolle sowie Weitergabe von personenbezogenen Daten an Dritte verwendet wurde. Gab es Schwierigkeiten, diesen Sonderbeauftragte des Betriebsrats beim Arbeitgeber durchzusetzen? Denn der hat ja vermutlich schon einen Datenschutzbeauftragten. Es gab keine größeren Widerstände, da das Kind ja schon in den Brunnen gefallen war. Außerdem konnte der Arbeitgeber gleich mit Kompetenz aufbauen. Somit haben alle Seiten davon profitiert. Einzig die ewige Frage nach den Kosten der Schulungen war ein Thema. Man kann aber schnell den Break-even ausrechnen, wenn man die Kosten des Datenmissbrauchs dagegen rechnet. Wie war die Reaktion der Beschäftigten darauf? Die Reaktionen waren sehr unterschiedlich. Zum einen waren die Kollegen sehr erstaunt, zum anderen hatten sie überhaupt keine Ahnung, was mit diesen Daten alles machbar ist. Uns kommt das ein wenig so vor wie mit Whatsapp. jeder hat es oder muss es haben und keiner weiß so recht, was im Hintergrund damit so alles angestellt wird. Zusatzinfos: Der Betriebsrat von Tl Automotive hat mit seinem Projekt»Sonderbeauftragter Datenschutz«am Deutschen Betriebsräte-Preis 2016 teilgenommen.